CVE-2026-63730
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
HyperDX przed wersją 2.31.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF). Uwierzytelnieni członkowie zespołu mogą nakazać serwerowi wykonanie żądań do dowolnych wewnętrznych zasobów sieciowych, podając kontrolowany przez atakującego adres URL do punktu końcowego testowania webhooków. Atakujący mogą ominąć niewystarczającą walidację listy zablokowanych nazw hostów w obsłudze webhooków, aby skanować wewnętrzne usługi, komunikować się z wewnętrznymi kontenerami lub uzyskać dostęp do metadanych instancji chmury, w tym punktów końcowych dostawcy.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia przez atakującego rekonesansu wewnętrznej infrastruktury, interakcji z wrażliwymi kontenerami oraz kradzieży danych uwierzytelniających z metadanych chmury, co może prowadzić do eskalacji uprawnień i wycieku danych.
Rekomendacja
Zaleca się natychmiastową aktualizację HyperDX do wersji 2.31.0 lub nowszej, która zawiera poprawkę eliminującą podatność SSRF.
Inne podatności w HyperDX
Zobacz wszystkie- CVE-2026-82279Wysokie
HyperDX do wersji 1.10.1 nie egzekwuje kontroli dostępu opartej na rolach w punktach końcowych zarządzania zespołem, co pozwala każdemu członkowi zespołu na wykonywanie działań administracyjnych. Atakujący mogą usuwać członków zespołu, w tym właścicieli, rotować klucze API i zmieniać nazwy zespołów, wysyłając żądania do punktów końcowych PATCH /team/apiKey, PATCH /team/name i DELETE /team/member.
- CVE-2026-63731Wysokie
Podatność SSRF (Server-Side Request Forgery) w HyperDX przed wersją 2.31.0. Uwierzytelnieni członkowie zespołu mogą kierować serwer do dowolnych wewnętrznych miejsc poprzez podanie kontrolowanego parametru hosta w punkcie końcowym testu proxy ClickHouse, bez walidacji URL lub listy dozwolonych. Atakujący mogą wykorzystać odpowiedzi błędów do ujawnienia odpowiedzi wewnętrznych usług.
Oryginalny opis (angielski, źródło NVD)
HyperDX before 2.31.0 contains a server-side request forgery vulnerability that allows authenticated team members to direct the server to make requests to arbitrary internal network destinations by supplying a caller-controlled URL to the webhook test endpoint. Attackers can bypass the insufficient hostname blacklist validation in the webhook handler to enumerate internal services, interact with internal containers, or access cloud instance metadata services including provider metadata endpoints.